!!!强烈建议改进路由切换后SNAT不能及时失效的问题

菜菜 1572

{{ttag.title}}
强烈建议改进路由切换后SNAT不能及时失效的问题。该问题描述如下:
一, 最近测试一个MIG 4GVPN组网项目,其中一个需求就是如果有线网线(拨号或光纤)断了,就自动切换到4G网络联网。
测试步骤在mig 上配置两条线路:线路1为静态IP,线路2为4G网络, mig内网口做网关直接一台测试PC:
测试结果:两条线路都正常在线的时候,PC长ping一个外网IP,比如8.8.8.8,这时把线路1断开,PC上长ping就会一直显示超时,但是换个ping的目标IP比如www.baidu.com就正常,说明已经切换到线路2了。
最后抓包也证实了如果一直长ping外网地址,线路1断了以后,数据切换为线路2也成功了,但就是走线路2出去的数据源IP竟然为线路1的公网IP,这样肯定就不通了!然而此现象除非手动中断Ping数据,不然会一直这样保持下去。
针对这种测试,用户反应之前测试艾泰路由器的时候长ping着切换线路也没出现我们这种情况。。。。

二,些问题对实际应用的影响,强烈建议改进
用户多个分支使用上网行为管理IPSec VPN对接承载用户多种业务,最近上了一套语音系统,语音客户机(以下称话机)部署在所有分支机构;语音网关部署在总部,目前已经多次如果上网行为管理停电重启或者外网线路1断开(都是双线路部署),都会出现语音连接不正常的现象。
该问题已证实如下描述所导致:
如果在上网行为管理重启或外网线路断开的时候,在IPsec VPN连接还未建立的时候,由于话机或语音网关是UDP的sip协议,只要连网就会发数据不停的彼此注册,此时由于VPN还未建立,所以语音网关或主机的路由为默认路由会匹配走互联网线路并匹配SNAT转换为公网IP,之后当IPsec VPN连接建立以后,就发现话机与语音网关之前的通讯数据,竟然会以源为外网IP的数据走VPN隧道传输,
如下两图所示,不论在分支端和总部都会出现有公网IP做为源IP的数据,走VPN隧道传输!!!


临时解决方法:最近1个月遇到几次该问题都是先把设备关机,然后把内网口网线拔了。最后设备开机以后VPN建立再把内网网线插上,但是设备重启如果分支的还好,在昨天总部也出现类似问题,总部在晚上12点以前是不允许断网的!所以用户已经跟我们反馈要求给个合理的解决方法,而不是现场拔网线、重启设备之类的。

总结,如上文所提两个实际发生的案例,希望某公司本着客户需求,产品完善的精神能给予相应的解决方法。
本人也想了一些思路不知能否实现 :
1,如果能在AC上增加SNAT转换的条件:比如话机的IP访问语音网关的IP都是私网IP,而私网IP之间访问不进行SNAT转换。
2,能否在设备新增个清空SNAT会话表的一个功能按钮。
3,在网上查阅一些资料,跟本文所涉及到的现象类似,可以参考一下  《终于搞定Linux的NAT即时生效问题》 http://blog.csdn.net/dog250/article/details/17654157  “引:Linux的NAT不能及时生效,因为它是基于ip_conntrack的,如果在NAT的iptables规则添加之前,此流的数据包已经绑定了一个ip_conntrack,那么该NAT规则就不会生效,直到此ip_conntrack过期,如果一直有数据在鲁莽地尝试传输,那么就会陷入僵持状态。”

和楼主有同感吗?赶快顶起来助力研发哥快速完善!

发表的建议被采纳即可获得100-1000S豆不等,如果您在建议专区表现活跃,可获得产品顾问荣誉勋章!了解更多S豆奖励信息

完善手机号和公司名称,让服务更省心更便捷!立即完善

菜菜 发表于 2017-2-27 19:21
  
针对第二个语音的问题处理,现在已经找到个方法:分别在总部和分支的AC上做一条防火墙策略,禁止LAN-WAN方向的语音网关和话机的所有协议,然后重启下设备就恢复正常,以后再也不用担心重启或切换线路时再出问题啦。
AC产品规划经理53612 发表于 2017-2-28 09:54
  
您好,此问题我们之前有关注到,已安排做改进.谢谢反馈.
发表新帖
热门标签
全部标签>
每日一问
技术盲盒
技术笔记
干货满满
技术咨询
新版本体验
产品连连看
功能体验
标准化排查
自助服务平台操作指引
GIF动图学习
2023技术争霸赛专题
通用技术
运维工具
信服课堂视频
秒懂零信任
技术晨报
用户认证
社区帮助指南
答题自测
深信服技术支持平台
安装部署配置
上网策略
SDP百科
设备维护
每日一记
项目案例
玩转零信任
畅聊IT
专家问答
技术圆桌
在线直播
MVP
网络基础知识
升级
安全攻防
测试报告
日志审计
问题分析处理
流量管理
云计算知识
原创分享
解决方案
sangfor周刊
VPN 对接
SANGFOR资讯
专家分享
技术顾问
信服故事
功能咨询
终端接入
授权
资源访问
地址转换
虚拟机
存储
迁移
加速技术
排障笔记本
产品预警公告
信服圈儿
S豆商城资讯
技术争霸赛
「智能机器人」
追光者计划
答题榜单公布
纪元平台
卧龙计划
华北区拉练
天逸直播
以战代练
山东区技术晨报
文档捉虫活动
齐鲁TV
华北区交付直播
每周精选

本版版主

147
109
49

发帖

粉丝

关注

本版达人

新手89785...

本周建议达人

七嘴八舌bar

本周分享达人

新手76619...

本周提问达人